Welcome back
Log in and go straight to your portal and the shop.
New customer? Create an account — clinics in the company register get instant access.
Secure login. Prices are shown to approved accounts only.
Two certified portfolios — surgical instruments and medical furniture. CE marked, certified under MDR 2017/745, and supplied to hospitals, clinics and distributors worldwide.
8,000+ product codes and 122 procedure-ready sets for surgery, ENT, dental and veterinary.
Overbed tables, crash carts, saline stands, trolleys and transfer solutions for wards and theatres.
Selling today across the Nordics, the Baltics and the Middle East — registrations under way in the Philippines, Morocco and Ethiopia, and manufacturing in Germany, Türkiye and Pakistan released under our Norwegian quality system.
One decision per visitor — buy from us, or sell with us.
Browse our full range — 8,000+ MDR-certified product codes, 122 procedure-ready instrument sets and a wide range of medical furniture. Products and specifications are open; log in or request a quote for prices.
Tray-configured sets for laparotomy, C-section, ENT, dental and more — one article number per procedure.
The Nordic healthcare systems are among the most advanced in the world — and some of the best ideas in surgery are born at the operating table. We take them to the world.
The best ideas in surgery come from the clinicians who live the problems every day — yet too many of those ideas never leave the hospital.
That is where Aprikos Medical comes in. As a Norwegian manufacturer with a certified quality system and a growing global distributor network, we take Nordic clinical innovation from idea to certified product — engineering, MDR certification and worldwide distribution under one roof.
Our first innovation project takes on one of surgery’s oldest everyday problems: blood obscuring the surgical field. The Noval Suction tip was invented by surgeons at Akershus University Hospital, and Aprikos Medical holds the exclusive licence to the patented technology. We have taken it from concept to working prototypes — engineered in Norway, now in live testing, and headed for global launch through our distributor network.
Every surgeon knows the first half of this table. The second half is why the tip exists.
User testing from September 2026 and a veterinary trial at Fredrikstad Dyrehospital — Norway’s largest animal hospital — in 2H 2026. Expected MDR approval Q4 2027 opens the human market, with global roll-out through our distributor network in 2028.
Following initial presentations of the Noval Suction Tip and its ex-situ and in-vitro results, the next step is evaluation during relevant veterinary surgical procedures.
Fredrikstad Dyrehospital and experienced veterinary surgeon Elena Regine Moldal have agreed to evaluate the product, providing valuable feedback ahead of a potential veterinary market launch.
Evaluation during relevant veterinary surgical procedures at Fredrikstad Dyrehospital — ahead of a potential veterinary market launch.
Patented suction-tip technology licensed exclusively from Akershus University Hospital.
Product design and engineering of the Noval Suction tip.
Working prototypes completed and evaluated.
Live testing at Fredrikstad Dyrehospital — Norway’s largest animal hospital. Sales can start after testing.
Certification opens the human market.
Launched through the existing distributor network.
Launch territories are being allocated to distribution partners ahead of the 2028 roll-out.
From foundation to MDR-certified Norwegian manufacturer in three years — and now bringing patented Norwegian hospital innovation to the world.
Aprikos Medical AS established in Norway.
Certified under MDR 2017/745 for two portfolios: surgical instruments and medical furniture.
Exclusive licence to the patented suction-tip technology from Akershus University Hospital.
Two distribution agreements signed — Sweden and Lithuania (30.12.2025).
First product design and prototyping of the Noval Suction tip produced.
Agreements signed in Qatar, Estonia and Latvia.
Aprikos exhibits at Arab Health — the world’s largest healthcare trade fair.
Distribution agreement signed in Oman.
First working Noval Suction prototypes completed and evaluated.
Two further distribution agreements in the Middle East.
Suction Tip in live testing at Fredrikstad Dyrehospital.
Product registrations in progress in the Philippines, Morocco and Ethiopia.
Veterinary market launch of the Suction Tip.
Opens the human market, with global roll-out in 2028.
A competent team with long experience — commercial, clinical and regulatory expertise under one roof: from a decade of medical sales at Johnson & Johnson to the operating theatre, more than 20 years of surgical practice, and deep EU MDR and ISO 13485 competence.
A team built for what comes next — supported by clinical advisers, and growing with new roles in tender management, regional business development and regulatory capacity.
Surgical instruments and medical furniture, both released under the same ISO 13485 quality system by Aprikos Medical — a Norwegian manufacturer.
Partners already operate across the Nordics, the Baltics and the Middle East — and we are appointing more across Europe, Asia, Africa and the Americas.
Two markets, two models. Pick yours — the options change with it.
We grow through partners, not past them. These are the commitments that make an Aprikos territory worth holding.
Your market is yours. We sell through you — never around you — and every lead from your territory is passed to you.
8,000+ MDR-certified codes, 122 procedure-ready sets and a wide range of medical furniture — answer a whole hospital tender from a single source.
CE certificates, Declarations of Conformity, IFU and technical files delivered as a complete pack — so you never lose a tender on paperwork.
Launch partners get first right to Noval Suction in their territory at roll-out — a patented product no competitor can offer.
Campaign packs four times a year, marketing assets ready to localise, product training and a commercial team that answers within 12 hours.
Markets selling today across the Nordics, the Baltics and the Middle East — registrations under way in the Philippines, Morocco and Ethiopia, and manufacturing in Germany, Türkiye and Pakistan.
If your market is open today, it may not be next quarter. Starting the conversation takes two minutes.
Aprikos Medical is a Norwegian manufacturer of surgical instruments and medical furniture. Every product is designed, manufactured and released under a certified quality management system.
Quality is embedded across Aprikos Medical — from product development and supplier management to manufacturing, documentation, delivery and post-market activities. Our quality system provides the framework for consistent standards, regulatory compliance and continuous improvement across our entire product portfolio.
Patient safety guides our decisions throughout the product lifecycle. Risk management, vigilance, complaint handling and post-market surveillance are integrated into our quality system and conducted in accordance with applicable regulatory requirements.
Our Code of Conduct defines how we operate and what we expect from our employees, manufacturing partners and suppliers — including integrity, fair competition, responsible business practices and respect for human and labour rights.
Products, materials and batches are controlled and documented throughout the supply chain. Our systems support traceability from manufacturing and quality control through to final delivery, in accordance with applicable regulatory requirements.
We work systematically to reduce our environmental impact through responsible sourcing, material choices, packaging and supply-chain practices, while maintaining the quality and safety requirements expected of medical devices.
Internal audits, CAPA, management reviews and performance monitoring drive continuous improvement across our quality system. We use these processes to identify opportunities, strengthen our operations and maintain consistent standards as Aprikos Medical grows.
8,000+ codes certified. Notified body NB XXXX.
Quality management for medical devices.
EU health, safety and performance conformity.
Manufacturing partners in Germany, Türkiye and Pakistan — every product qualified, quality-assured and released under our Norwegian ISO 13485 quality system.
Certificates, Declarations of Conformity, IFU and technical files are available to registered distributors, hospitals and tender officers.
| Document | Type | Scope | Valid to | Access |
|---|---|---|---|---|
| EC Certificate — MDR 2017/745 | Full portfolio | 2030 | 🔒 Locked | |
| ISO 13485:2016 certificates | Design & manufacture | 2029 | 🔒 Locked | |
| Free Sale Certificate — Norway | Full portfolio | — | 🔒 Locked | |
| Declaration of Conformity — General Surgery | Class I / Is | — | 🔒 Locked | |
| IFU & reprocessing instructions | All instruments | — | 🔒 Locked | |
| Code of Conduct | Company | — | 🔒 Locked |
Tenders, catalogues, documents and orders — answered within 12 hours.
Every line of the technical file is matched to the Aprikos range.
Open a tender to see its documents above. Invited colleagues work in it live.
| Tender | Shared | Deadline | Status |
|---|
Products, registrations, marketing or logistics — answered within 12 hours.
Tender help, order questions and complaints: write to us under Work with Aprikos — every message and file stays in one thread with its full history. Anything else: order@aprikosmedical.com.
Log in and go straight to your portal and the shop.
New customer? Create an account — clinics in the company register get instant access.
Secure login. Prices are shown to approved accounts only.
Your prices, orders and details — answered within 12 hours.
10 complete ENT sets — 255 instruments in wire baskets with silicone mat and laser-marked tag.
Confirmed within 12 hours.
Write to order@aprikosmedical.com — answered within 12 hours, weekdays.
Your prices, orders and details — answered within 12 hours.
16 complete veterinary sets — 172 instruments in wire baskets with silicone mat and laser-marked tag.
Confirmed within 12 hours.
Write to order@aprikosmedical.com — answered within 12 hours, weekdays.
Hvordan Aprikos Medical AS behandler personopplysninger i portalen og på nettstedet. Spørsmål: personvern@aprikosmedical.com
Aprikos Medical AS er behandlingsansvarlig for personopplysningene som beskrives her. Vi produserer kirurgiske instrumenter og medisinske møbler som er CE-merket etter forordning (EU) 2017/745 om medisinsk utstyr (MDR), og vi driver kundeportalen på www.aprikosmedical.com.
| Behandlingsansvarlig | Aprikos Medical AS, org.nr. 929 633 822 |
| Besøksadresse | Lørenveien 73A, 0585 Oslo |
| Postadresse | Lørenveien 73A, 0585 Oslo |
| Personvernkontakt | personvern@aprikosmedical.com |
| E-post om personvern | personvern@aprikosmedical.com |
| E-post om ordre | order@aprikosmedical.com |
Vi har vurdert at vi ikke har plikt til å utpeke personvernombud (personvernforordningen art. 37 nr. 1): vi er ikke en offentlig myndighet, kjernevirksomheten vår er produksjon og salg av medisinsk utstyr og ikke overvåking av personer i stor skala, og vi behandler ikke særlige kategorier av personopplysninger i stor skala. Vi har likevel utpekt en navngitt personvernkontakt, og vurderingen gjennomgås årlig.
Første gang du besøker nettstedet, ber vi deg huke av for at du har lest denne erklæringen. Avkryssingen lagres i din egen nettleser sammen med versjonsnummeret på erklæringen, slik at du ikke blir spurt om igjen. Endrer vi erklæringen, får den et nytt versjonsnummer, og du blir spurt én gang til.
Oppretter du konto, må du krysse av for det samme i registreringsskjemaet. Da lagrer vi i tillegg et bevis hos oss: den nøyaktige teksten du fikk se, versjonsnummeret og tidspunktet, i consents/ (funksjonen logConsent i functions/gdpr.js). Dokumentet kan ikke endres i ettertid, og det følger med når du ber om innsyn. Grunnen er personvernforordningen art. 7 nr. 1: vi må kunne vise hva du faktisk sa ja til.
Bekreftelsen er ikke et samtykke til behandlingen. Det vi gjør for å levere kundeforholdet, hviler på avtale og rettslig forpliktelse (punkt 4), og det kan du ikke «trekke tilbake» uten å avslutte kundeforholdet. Avkryssingen dokumenterer bare at informasjonen er gitt, slik art. 12 og 13 krever. Markedsføring på e-post, bruksstatistikken og koblingen av kampanjen til kontoen hviler på samtykke. Hver av dem er et eget, frivillig valg som du når som helst kan trekke tilbake – markedsføringen under Min konto → Mine personopplysninger, statistikken og kampanjekoblingen på siden om lagring i nettleseren.
Erklæringen gjelder deg som
Den gjelder også for Aprikos-ansatte som bruker administrasjonssiden (Aprikos Workspace), for det som står i punkt 3.9.
Portalen er et tilbud til virksomheter, men det fritar oss ikke. Opplysninger om en navngitt kontaktperson i en klinikk er personopplysninger. For enkeltpersonforetak er også foretaksnavnet og organisasjonsnummeret personopplysninger om innehaveren. Alle rettighetene i punkt 8 gjelder derfor fullt ut også for våre kunder som er enkeltpersonforetak.
Vi har ingen rekrutteringsfunksjon i portalen, og denne erklæringen dekker ikke jobbsøkere. Søknader vi mottar på e-post behandles utenfor portalen etter egen rutine.
Du kan lese de åpne sidene uten å oppgi noe. Vi har ingen annonseverktøy og ingen sporingsinformasjonskapsler fra tredjeparter. Pseudonym bruksstatistikk samles inn av vår egen tjeneste (functions/track.js) bare hvis du tillater det i personvernlinjen. Den inneholder hvilke sider og knapper som brukes, søkeord, hvor lenge og hvor langt sider leses, kampanjemerkene i adressen du kom inn på (utm_source, utm_medium, utm_campaign), type enhet, nettleser og operativsystem, skjermbredde, lastetiden for den første siden, teksten i eventuelle JavaScript-feil, og omtrent hvor på siden et klikk landet (et rutenett på 20 × 40 felt – aldri pikselposisjon eller skjerminnhold). Stegene i ett besøk lagres som en tilfeldig besøks-ID uten navn, e-post eller IP-adresse og slettes etter 90 dager; dagstallene slettes etter 13 måneder. Statistikken er pseudonym, ikke anonym: besøks-ID-en binder stegene i ett besøk sammen. Valget kan endres når som helst på siden om lagring i nettleseren.
Kampanjen eller annonsen som brakte deg til nettstedet kobles til kontoen din bare hvis du i tillegg har krysset av for det (eget, valgfritt samtykke under statistikkvalget). Da lagres kampanjen én gang i profilen din (users/{uid}.src). Trekker du samtykket tilbake, eller slår av statistikken, slettes koblingen igjen. Vi mottar de tekniske opplysningene som er nødvendige for å levere nettsiden – IP-adresse, nettlesertype og hvilken side som ble hentet – i driftsloggene hos leverandøren av drift og hosting. Skriftsnittene hentes fra vårt eget domene (public/assets/css/fonts.css og public/assets/fonts/). Ingen IP-adresse går til Google Fonts.
Nettleseren din lagrer også data lokalt på enheten din. Dette er beskrevet i sin helhet i den egne erklæringen erklaering-informasjonskapsler.md.
Når du oppretter konto, registrerer vi e-postadresse og passord i Firebase Authentication, og en profil i Firestore under users/{uid} (public/assets/js/auth.js, funksjonen register): e-postadresse, rolle (klinikk, veterinærklinikk eller distributør), foretaksnavn, organisasjonsnummer, land, kontaktperson, telefonnummer, adresse, status for verifisering og godkjenning, og tidspunktet kontoen ble opprettet. Distributører oppgir i tillegg et ønsket tidspunkt for et møte med oss.
Passordet lagres aldri i klartekst. Firebase Authentication lagrer det som en kryptografisk kontrollverdi.
Når du legger inn en bestilling, behandler vi kundeblokken og ordrelinjene som lagres i orders/{ordrenummer} (functions/index.js, funksjonen normalizeOrder): foretaksnavn, organisasjonsnummer, kontaktperson, e-postadresse, telefonnummer, leveringsadresse, postnummer, sted, land, fakturaadresse, deres referanse eller innkjøpsordrenummer, alle ordrelinjer med antall, priser, rabatt, merverdiavgift og totaler, valgt betalingsmåte, og brukerkontoen din (uid og påloggings-e-post). Fritekstfeltene på ordren og på hver ordrelinje lagres slik du har skrevet dem.
Ordrebekreftelsen sendes på e-post til deg og til order@aprikosmedical.com (functions/index.js, funksjonen sendOrderMails). Klinikker og veterinærklinikker betaler mot faktura; distributører betaler mot faktura etter distributøravtalen eller mot forskudd (proformafaktura). Nettbutikken tilbyr ikke kort-, Klarna- eller Vipps-betaling, og ingen betalingsleverandør mottar opplysninger om bestillingen din.
Lister og ønskelisten du lagrer i nettbutikken, lagres på kontoen din (shop_lists/{uid}), slik at du finner dem igjen på en annen maskin. Innkjøps- og anbudslister du laster opp for å få dem matchet mot katalogen, lagres i inquiry_lists sammen med listenavnet, linjene og statusen. Nettleseren beholder bare en mellomlagret kopi. Begge deler følger med når du ber om innsyn, og slettes når du sletter listen eller kontoen.
Anbudsverktøyet leser anbudsfilene dine og trekker ut linjene i din egen nettleser. Velger du å dele et anbud med teamet ditt eller med oss, lagres anbudet i Firestore (tenders/{id} med linjer og hvem som er inne i anbudet akkurat nå): navnet på anbudet, innleveringsfrist, linjetekst og spesifikasjoner, valgene teamet gjør, og navn og e-postadresse til teammedlemmene. Et teammedlem kan invitere en kollega; vi sender da en invitasjon på e-post med anbudsnavnet og navnet til den som inviterte, og den inviterte blir med i teamet først når vedkommende selv godtar invitasjonen. Dokumenter du legger i «Samarbeid med Aprikos» (saker, reklamasjoner, filer) og anbudsdokumentene du legger ved et delt anbud, lagres hos oss på serveren (Firestore, dist_files), og partnerdokumenter lagres i Microsoft SharePoint (se punkt 6). Ber du om en AI-vurdering av anbudslinjer, sendes linjeteksten, spesifikasjonen og produktkandidatene fra vår egen katalog til Anthropic (se punkt 3.7). Anbud kan inneholde navn og jobbkontaktopplysninger til kontaktpersoner hos oppdragsgiveren; for dem er vi selvstendig behandlingsansvarlig når vi bruker anbudet til vårt eget formål – å utarbeide vårt eget tilbud (se punkt 5).
Bruker du bestillings- eller prisverktøyene, behandler vi de samme kundeopplysningene som i punkt 3.3, i tillegg til stilling og eventuelt sluttkunde- eller prosjektnavn du selv skriver inn.
Sender du oss e-post, behandler vi e-postadressen din og det du skriver, så lenge det er nødvendig for å svare og for å dokumentere saken. Kontaktskjemaene på de åpne sidene (for eksempel forespørsel om dokumenter) sender ingen opplysninger til oss i dag, så slike henvendelser må sendes på e-post. Unntaket er skjemaet for rettighetshenvendelser under Dine rettigheter, som er i drift (punkt 8).
Vi fører et register over kontaktpersoner hos mulige forhandlere og kunder i salgsverktøyet vårt (HubSpot CRM): navn, stilling, arbeidsgiver, jobbkontaktopplysninger og det vi har korrespondert om. Kontakter i en salgsdialog speiles til administrasjonssiden i portalen (mk_leads) slik at markedsavdelingen kan følge dem opp; en kontakt som slettes, reserverer seg eller går ut av salgsdialogen i HubSpot, fjernes fra speilet ved neste synkronisering, og et speil som ikke er synkronisert på 12 måneder slettes. I det samme kontrollsenteret fører vi salgsaktiviteter (møter, prøver, tilbud, oppfølging) og signaler om mulige kunder (cx_activities, cx_signals) med kilde og dato; de slettes etter 24 måneder. Opplysningene har vi fra deg selv, fra arbeidsgiverens nettsider, fra din offentlige LinkedIn-profil eller fra verktøyene vi bruker til å finne og berike forretningskontakter (Apollo.io, Clay og La Growth Machine, se punkt 6). Grunnlaget er vår berettigede interesse i å ta kontakt med fagpersoner om produkter som er relevante for stillingen deres (art. 6 nr. 1 bokstav f). Du kan når som helst si nei – da stopper vi og sletter alt annet enn en oppføring i sperrelisten, slik at du ikke blir kontaktet igjen. Kontakter som ikke svarer, slettes etter 12 måneder. Markedsføring på e-post sender vi bare til deg som har samtykket, og til eksisterende kunder innenfor unntaket i markedsføringsloven § 15 tredje ledd (adressen er gitt oss i forbindelse med et kjøp, markedsføringen gjelder våre egne tilsvarende varer, og du kan reservere deg gratis i hver e-post). Et samtykke lagres med den nøyaktige teksten du fikk se, versjonsnummeret og tidspunktet – vi lagrer ikke IP-adressen din.
Spør Aprikos i nettbutikken svarer ut fra Aprikos' egne data – katalogen, prislisten og faste opplysninger om levering, betaling, rabatter og kontakt – i vår egen serverfunksjon i EU (functions/index.js, funksjonen assist, og functions/assist-guard.js). Spørsmålet ditt sendes ikke til noen AI-leverandør. Funksjonen har en valgfri AI-vei som er slått av; slås den noen gang på, oppdaterer vi denne erklæringen først. Vi lagrer bare tellere for hvor mange spørsmål kontoen har stilt per dag (90 dager); selve samtalen lagres ikke hos oss.
AI-vurdering av anbudslinjer. Ber du om en AI-vurdering av anbudslinjer, sendes linjeteksten, spesifikasjonen, antallet, koden i anbudet og produktkandidatene fra vår egen katalog til Anthropic PBC (USA), som foreslår hvilket Aprikos-produkt som passer (functions/index.js, funksjonen tenderAi). Vi fjerner alt som ser ut som et fødselsnummer eller D-nummer før noe sendes. Skriv aldri pasientopplysninger eller andre personopplysninger i anbudslinjene. Vi lagrer en teller for bruken (90 dager). For at det samme spørsmålet ikke skal koste et nytt AI-kall, husker vi også AI-vurderingen av linjen i 90 dager: produktforslaget, vurderingen og hvilken konto som spurte. Selve linjeteksten lagres ikke, bare en sjekksum av den. Vurderingen gjenbrukes bare innenfor ditt eget firma (eller din egen konto) for nøyaktig den samme linjen, og den slettes automatisk etter 90 dager eller når du ber om sletting. Svaret vises i verktøyet ditt.
Våre egne ansatte har i tillegg en intern assistent på administrasjonssiden (functions/staff-assist.js) som også bruker Anthropic. Den får den ansattes spørsmål og nøkkeltall (antall saker, ordrer og lignende), ikke kundeposter.
Når vi booker henting og frakt, sender vi mottakerens navn, telefonnummer, e-postadresse og leveringsadresse til DHL Express (functions/dhl.js) og lagrer fraktbrevet og etiketten hos oss sammen med ordren. Mottakeropplysningene og etiketten slettes når ordren anonymiseres.
Første innlogging på administrasjonssiden fra en ny enhet – med passord eller med Microsoft – godkjennes med en engangskode som sendes til den ansattes egen e-postadresse (functions/staff-device.js). Koden lagres bare som kontrollverdi og gjelder i 10 minutter (staff_codes). Etter godkjenningen husker nettleseren enheten med et tilfeldig enhetsbevis i localStorage (ap-staff-device). Hos oss lagres bare en kontrollverdi (SHA-256) av beviset, sammen med uid, e-postadresse, en enhetsbeskrivelse (nettleser og operativsystem) og tidspunktene for godkjenning og siste bruk (staff_devices). Beviset gjelder i 180 dager, blir liggende når den ansatte logger ut (det er hele poenget), og kan trekkes tilbake; da må enheten godkjennes på nytt. Utløpte og tilbaketrukne poster ryddes foreløpig manuelt – automatisk sletting er under innføring.
Kobler den ansatte Workspace til Microsoft 365, holder Microsofts innloggingsbibliotek (MSAL) en mellomlagret innlogging og en tilgangsnøkkel for e-post og kalender i nettleserens sessionStorage (nøkler som begynner med msal.). Den forsvinner når fanen lukkes. E-post og kalender hentes direkte fra Microsoft til nettleseren og lagres ikke hos oss. Ved innlogging med Microsoft-konto åpner Firebase et innloggingsvindu fra Google (apis.google.com og prosjektets firebaseapp.com-adresse).
Administrative handlinger føres i et revisjonsspor (admin_audit, functions/audit.js): hvem, hva, hvilket objekt, utfall og tidspunkt. For handlinger i rettighetssaker og sletting – og for nektede forsøk på slike handlinger – lagres også IP-adressen den ansatte brukte, fordi den kan være nødvendig for å etterforske misbruk av en konto. Revisjonssporet beholdes i 5 år (punkt 4). Grunnlaget er sikkerhet og ansvarlighet (art. 5 nr. 2 og art. 32) og vår berettigede interesse i å kunne dokumentere og etterforske administrative handlinger (art. 6 nr. 1 bokstav f).
| Behandling | Formål | Rettslig grunnlag | Lagringstid |
|---|---|---|---|
| Brukerkonto i Firebase Authentication (e-post, passordkontrollverdi, påloggingstidspunkt) | Å gi deg tilgang til portalen | Avtale, personvernforordningen art. 6 nr. 1 bokstav b | Så lenge kontoen er i bruk. Har kontoen verken vært innlogget eller bestilt noe på 24 måneder, får du e-post om at den vil bli slettet. Logger du ikke inn (eller bestiller) innen 30 dager etter varselet, slettes kontoen. Kontoer med åpne ordrer, reklamasjoner, saker eller rettighetssaker slettes ikke så lenge saken er åpen. Ordrer beholdes etter bokføringsloven, se under |
Profil i users/{uid} | Konto, kontaktinformasjon og prisvisning for riktig rolle | Avtale, art. 6 nr. 1 bokstav b; berettiget interesse for de registerhentede feltene, art. 6 nr. 1 bokstav f | Som brukerkontoen: slettes sammen med den |
Lagrede lister og innkjøpslister (shop_lists, inquiry_lists, punkt 3.3a) | Å la deg gjenbruke lister og få innkjøpslister matchet | Avtale, art. 6 nr. 1 bokstav b | Til du sletter listen, og senest når kontoen slettes |
| Oppslag i foretaksregistre ved registrering | Å kontrollere at den som registrerer seg er en reell klinikk eller markedsdeltaker før vi gir tilgang til priser på regulert medisinsk utstyr | Berettiget interesse, art. 6 nr. 1 bokstav f | Treffet lagres som en del av profilen – se raden over |
Godkjenningsspor (feltene verified og approved, rolleendringer, hvem som godkjente og når) | Å kunne dokumentere at tilgang til priser på medisinsk utstyr ble gitt riktig | Berettiget interesse og ansvarlighet, art. 6 nr. 1 bokstav f jf. art. 5 nr. 2 | 3 år etter at kontoen er avsluttet |
| Ordrens regnskapskjerne (ordrenummer, dato, foretak, organisasjonsnummer, adresser, linjer, antall, priser, mva., totaler, betalingsmåte) | Gjennomføring av kjøpet og lovpålagt regnskapsdokumentasjon | Avtale, art. 6 nr. 1 bokstav b, deretter rettslig forpliktelse, art. 6 nr. 1 bokstav c (bokføringsloven § 13 andre ledd) | 5 år etter utløpet av regnskapsåret. En ordre fra mars 2026 er dermed låst til 31.12.2031 |
| Kontaktpersonen på ordren (navn, e-post, telefon, påloggings-e-post) | Å kunne levere, fakturere og følge opp bestillingen | Avtale, art. 6 nr. 1 bokstav b, og art. 6 nr. 1 bokstav c så langt navnet inngår i salgsdokumentet | Pseudonymiseres 5 år etter utløpet av regnskapsåret, eller tidligere når du ber om det og navnet ikke inngår i salgsdokumentet |
| Fritekst på ordre og ordrelinjer | Praktiske opplysninger om leveransen | Avtale, art. 6 nr. 1 bokstav b, og dataminimering, art. 5 nr. 1 bokstav c | 12 måneder etter at ordren er fullført, med mindre merknaden gjelder selve handelen; da følger den regnskapskjernen |
| Ordrebekreftelser i e-postkassen order@aprikosmedical.com | Bestillingsbehandling og regnskapsdokumentasjon | Avtale, art. 6 nr. 1 bokstav b; rettslig forpliktelse der meldingen er salgsdokumentet | 5 år etter utløpet av regnskapsåret der meldingen er salgsdokumentet, ellers 24 måneder |
| Sporbarhetsregister over hvilken institusjon som har mottatt hvilket utstyr | Lovpålagt sporbarhet for produsent av medisinsk utstyr | Rettslig forpliktelse, art. 6 nr. 1 bokstav c (MDR 2017/745 art. 25 nr. 2 jf. art. 10 nr. 8; lov om medisinsk utstyr) | Minst 10 år etter at det siste utstyret som omfattes av samsvarserklæringen ble brakt i omsetning. 15-årsregelen gjelder implantater, og sortimentet vårt inneholder ingen |
| Reklamasjoner, avvik, tilbakekallinger og vigilance-saker | Lovpålagt oppfølging av utstyr på markedet | Rettslig forpliktelse, art. 6 nr. 1 bokstav c (MDR 2017/745 art. 10 nr. 13 og art. 87). Opplysningene om en mulig pasientskade i en produktklage (pasientkategori, aldersgruppe, kjønn og utfall – uten navn eller annen identifikasjon) er helseopplysninger; grunnlaget for dem er art. 9 nr. 2 bokstav i (kvalitet og sikkerhet for medisinsk utstyr) jf. MDR art. 87–89, se punkt 12 | Minst 10 år |
| Dokumentasjon for å kunne forsvare et produktansvarskrav | Fastsettelse og forsvar av rettskrav | Berettiget interesse og rettskrav, art. 6 nr. 1 bokstav f jf. art. 17 nr. 3 bokstav e (produktansvarsloven § 2-7) | 10 år fra produktet ble satt i omsetning |
| Saker knyttet til en konkret tvist eller reklamasjon | Fastsettelse, gjøring gjeldende eller forsvar av rettskrav | Art. 6 nr. 1 bokstav f jf. art. 17 nr. 3 bokstav e (foreldelsesloven § 2 og § 9 nr. 2) | Til saken er endelig avsluttet, pluss 3 år. Ytterste grense 20 år |
| Markedsføring på e-post | Å informere kunder om vårt eget utstyr | Samtykke, art. 6 nr. 1 bokstav a, eller berettiget interesse innenfor kundeunntaket i markedsføringsloven § 15 tredje ledd | Til du reserverer deg eller trekker samtykket. Samtykkebeviset (tekst, versjon, tidspunkt) beholdes så lenge samtykket brukes; slettes kontoen, beholdes beviset i 3 år uten navn og e-postadresse, under en kodet referanse. Selve reservasjonen beholdes permanent, ellers kan vi ikke respektere den |
| Administrasjonsspor (hvem som godkjente, tilbakekalte, endret rolle, registrerte en betaling eller behandlet en rettighetssak – for rettighetssaker og sletting også den ansattes IP-adresse, punkt 3.9) | Sikkerhet og ansvarlighet | Art. 5 nr. 2 og art. 32 nr. 1 bokstav d; art. 6 nr. 1 bokstav f | 5 år |
Godkjente enheter for ansatte (staff_devices, staff_codes, punkt 3.9) | Sikker pålogging til administrasjonen | Berettiget interesse og sikkerhet, art. 6 nr. 1 bokstav f jf. art. 32 | Enhetsbeviset gjelder 180 dager, engangskoden 10 minutter. Utløpte poster ryddes manuelt til automatisk sletting er på plass |
| Driftslogger i Cloud Logging (IP-adresse, nettleser, forespørsel, tidspunkt) | Drift, feilsøking og sikkerhet | Berettiget interesse, art. 6 nr. 1 bokstav f | 30 dager, aldri over 90 dager |
| Korrespondanse om rettighetshenvendelser | Å kunne dokumentere at henvendelsen ble besvart riktig | Ansvarlighet, art. 5 nr. 2 jf. art. 12 | 3 år etter at saken er avsluttet |
| Protokoll over brudd på personopplysningssikkerheten | Lovpålagt dokumentasjon | Art. 33 nr. 5 | 5 år |
| Data nettleseren din lagrer lokalt | Handlekurv, kontoskjema, språk, en mellomlagret kopi av listene dine, anbudsresultater; for ansatte også enhetsbeviset og Microsoft-innloggingen (punkt 3.9) | Nødvendig for tjenesten du har bedt om, art. 6 nr. 1 bokstav b jf. ePrivacy-direktivet art. 5 nr. 3 slik det er gjennomført i norsk ekomlovgivning | Til du sletter dem. Vi mottar dem ikke og kan ikke slette dem for deg |
| Pseudonym bruksstatistikk (punkt 3.1) | Å forbedre nettstedet og se hvilke kanaler som fungerer | Samtykke, art. 6 nr. 1 bokstav a | Besøksforløp 90 dager, dagstall 13 måneder |
| Kampanjen som brakte deg til nettstedet, koblet til kontoen | Å se hvilke kampanjer som gir kunder | Samtykke, art. 6 nr. 1 bokstav a (eget valg) | Til samtykket trekkes tilbake eller statistikken slås av |
| Team-anbud (anbud, linjer, teammedlemmer, invitasjoner) | Å la distributøren og teamet arbeide med anbudet sammen, og å gi vårt tilbud | Avtale, art. 6 nr. 1 bokstav b; berettiget interesse for inviterte og kontaktpersoner i anbudet, art. 6 nr. 1 bokstav f | 24 måneder etter siste endring |
| Distributørtilbud til egne kunder | Å kunne gjøre tilbudet om til en ordre | Avtale, art. 6 nr. 1 bokstav b | 24 måneder etter at tilbudet ble laget |
| Saker i «Samarbeid med Aprikos» | Oppfølging av distributøren | Avtale, art. 6 nr. 1 bokstav b; rettslig forpliktelse for reklamasjoner (MDR) | 24 måneder etter at saken er lukket; reklamasjoner minst 10 år |
| Partnerdokumenter i SharePoint | Deling av avtaler, sertifikater og dokumentasjon med distributøren | Avtale, art. 6 nr. 1 bokstav b | Etter dokumenttype, se sletteplanen |
| DHL-mottaker og fraktetikett | Levering | Avtale, art. 6 nr. 1 bokstav b | Følger ordren, slettes når ordren anonymiseres |
| Speil av salgskontakter fra HubSpot | Oppfølging av salgsdialog | Berettiget interesse, art. 6 nr. 1 bokstav f | Fjernes når kontakten ikke lenger er i HubSpot; et speil uten synkronisering på 12 måneder og importerte kontakter uten svar slettes etter 12 måneder |
| Salgsaktiviteter og signaler i kontrollsenteret | Oppfølging av mulige kunder og forhandlere | Berettiget interesse, art. 6 nr. 1 bokstav f | 24 måneder |
| Tellere for bruk av assistenten og AI-vurderingen | Å begrense kostnad og misbruk | Berettiget interesse, art. 6 nr. 1 bokstav f | 90 dager |
Når en lagringstid er utløpt, slettes opplysningene av den nattlige oppryddingsjobben gdprRetentionSweep i functions/gdpr.js.
De fleste opplysningene får vi fra deg selv. I tillegg henter eller mottar vi (personvernforordningen art. 14):
public/assets/js/site.js). Vi mottar foretaksnavn, organisasjonsnummer, forretningsadresse og næringskode, og lagrer dem i profilen din. Fordi oppslaget skjer i nettleseren din, er det din IP-adresse og ditt søkeord som når disse tjenestene, ikke våre. Bestillingsverktøyene kan også hente navnet på daglig leder fra rolleregisteret hos Brønnøysundregistrene som et forslag til kontaktperson.Har vi fått opplysninger om deg fra andre enn deg selv, informerer vi deg senest innen én måned, eller ved første kontakt dersom det skjer tidligere (art. 14 nr. 3).
Internt har bare ansatte og innleide med tjenstlig behov tilgang, og alle er bundet av taushetsplikt. Utenfor Aprikos deles opplysninger med følgende navngitte mottakere.
Databehandlere – behandler opplysninger bare etter instruks fra oss:
| Mottaker | Hva de behandler | Hvor |
|---|---|---|
| Google Ireland Ltd, med Google LLC som underdatabehandler (Firebase Authentication, Cloud Firestore, Cloud Functions, Firebase Hosting, Cloud Logging) | Konto, profil, ordre, katalog, drift og logger. Cloud Functions kjører i europe-west1 (Belgia, functions/index.js, setGlobalOptions) og Firestore i eur3 (Belgia og Nederland) | Irland og EU, med overføring til USA – se punkt 7 |
| Brevo (Sendinblue SAS / Brevo SAS) | Utsending av ordrebekreftelser over SMTP (functions/index.js, funksjonen sendOrderMails) | Frankrike |
| Microsoft Ireland Operations Ltd (Microsoft 365), leverandør av e-postkassene våre | Mottak og arkivering av ordre-e-post og av korrespondanse om rettigheter | EU/EØS – bekreftes i databehandleravtalen |
| Zenera AS, regnskapsfører | Salgsdokumentasjon | EU/EØS – bekreftes i databehandleravtalen |
| HubSpot Ireland Ltd, med HubSpot, Inc. som underdatabehandler, og La Growth Machine (LGM SAS) | Salgskontakter som ikke er kunder (punkt 3.6), og i HubSpot oppfølgingsoppgaver om kunder som våre ansatte oppretter – emne, frist og kobling til firmaet eller kontakten, uten helseopplysninger. Kontakter i en salgsdialog speiles til administrasjonssiden i portalen | EU og USA – standard personvernbestemmelser og EU-US Data Privacy Framework |
| Apollo.io (ZenLeads Inc., USA) og Clay Labs, Inc. (USA) | Å finne og berike forretningskontakter hos mulige forhandlere og kunder (punkt 3.6): navn, stilling, arbeidsgiver, jobbkontaktopplysninger | USA – standard personvernbestemmelser og EU-US Data Privacy Framework der leverandøren er sertifisert |
| Microsoft Ireland Operations Ltd (SharePoint i Microsoft 365) | Partnerdokumenter distributører og Aprikos deler, med navnet og e-postadressen til den som lastet opp (functions/partnerdocs.js) | EU/EØS – bekreftes i databehandleravtalen |
| Anthropic PBC | Anbudslinjer som sendes til AI-vurdering, og spørsmål fra våre ansatte i den interne assistenten (punkt 3.7). Spør Aprikos i nettbutikken bruker ikke Anthropic | USA – se punkt 7 |
Selvstendige behandlingsansvarlige – bestemmer selv formålet med sin egen behandling:
Tjenester nettleseren din kontakter direkte, og som dermed ser IP-adressen din:
Disse mottar tilkoblingsopplysninger, ikke ordreinnholdet ditt eller filene dine. Programbibliotekene for PDF, Excel og tekstgjenkjenning, og språkfilen tekstgjenkjenningen bruker, hentes fra vårt eget domene.
Bruker du en «send på e-post»-knapp i verktøyene, går innholdet gjennom din egen e-postleverandør. Den delen er utenfor vår tekniske kontroll.
Brevo (Frankrike) og de tre foretaksregistrene ligger innenfor EØS, og for dem skjer ingen overføring til tredjeland.
Firebase Authentication har ingen regionsinnstilling, og opplysningene om selve brukerkontoen – e-postadresse, passordkontrollverdi og påloggingstidspunkt – lagres på Googles infrastruktur i USA, selv om Firestore og Cloud Functions kjører i EU (eur3 og europe-west1).
Grunnlaget for overføringen til Google LLC er EUs standard personvernbestemmelser (personvernforordningen art. 46 nr. 2 bokstav c) i Googles databehandleravtale, og at Google LLC er sertifisert under EU–US Data Privacy Framework (art. 45).
Anbudslinjer til AI-vurdering og spørsmålene i de ansattes interne assistent behandles av Anthropic PBC i USA (punkt 3.7). Grunnlaget er EUs standard personvernbestemmelser i Anthropics databehandleravtale (art. 46 nr. 2 bokstav c); vi sender bare anbudsteksten med produktkandidatene og de ansattes egne spørsmål, uten fødselsnummer. HubSpot, Inc. (salgskontakter, punkt 3.6) er sertifisert under EU–US Data Privacy Framework. Apollo.io og Clay (kilder til forretningskontakter, punkt 3.6) er amerikanske; grunnlaget er EUs standard personvernbestemmelser i leverandørenes databehandleravtaler, og overføringen er vurdert i den samme årlige gjennomgangen. Sendinger med DHL til land utenfor EØS skjer fordi overføringen er nødvendig for å oppfylle kjøpsavtalen (art. 49 nr. 1 bokstav b). Vi har gjort en egen vurdering av overføringen, og den gjennomgås årlig. Du kan be om en kopi av grunnlaget ved å skrive til personvern@aprikosmedical.com.
Du har rettighetene under. Vi svarer innen én måned fra vi mottar henvendelsen. Er saken kompleks eller gjelder mange forhold, kan vi forlenge fristen med inntil to måneder, men da får du beskjed om forlengelsen og begrunnelsen innen den første måneden (art. 12 nr. 3). Det er gratis (art. 12 nr. 5).
Du kan bruke rettighetene dine på tre måter:
exportMyData og deleteMyAccount i functions/gdpr.js.dsrRequest i functions/gdpr.js og bekreftes med en lenke til e-postadressen du oppgir, slik at ingen andre kan be om opplysningene dine. Saksbehandleren kan deretter kjøre det samme uttrekket eller den samme slettingen på den bekreftede e-postadressen, og sender uttrekket bare til den adressen.| Rettighet | Hva den gir deg | Slik bruker du den her |
|---|---|---|
| Innsyn (art. 15) | En kopi av alle personopplysninger vi behandler om deg, og informasjon om formål, mottakere, lagringstider og hvor opplysningene kommer fra | Min konto → Mine personopplysninger → Last ned mine data, eller e-post til oss. Eksporten omfatter kontoen, profilen, godkjenningsstatus, hele ordrehistorikken, tilbud, anbud, saker og reklamasjoner, lagrede lister og innkjøpslister, samtykker og tidligere rettighetssaker |
| Retting (art. 16) | Å få rettet feil og supplert mangelfulle opplysninger | Kontaktopplysninger retter du selv i Min konto. Foretaksnavn og organisasjonsnummer må vi rette for deg, fordi de ligger til grunn for godkjenningen (firestore.rules). Vi varsler mottakerne om rettingen (art. 19) |
| Sletting (art. 17) | Å få slettet opplysninger vi ikke lenger har grunnlag for å beholde | Min konto → Mine personopplysninger → Slett kontoen min. Se forklaringen rett under tabellen |
| Begrensning (art. 18) | At vi stanser all annen bruk enn lagring mens en innsigelse eller en tvist behandles | E-post til personvern@aprikosmedical.com eller skjemaet på nettsiden. Saksbehandleren setter da en sperre på opplysningene i saksbehandlingen vår, slik at de ikke vises i ordrelistene, ikke slettes eller endres av de automatiske jobbene, og bare behandles for rettskravet. Du får beskjed før sperren oppheves (art. 18 nr. 3) |
| Dataportabilitet (art. 20) | De opplysningene du selv har gitt oss, i et maskinlesbart format, og overført til en annen virksomhet der det er teknisk mulig | Samme knapp som innsyn. Eksporten inneholder et eget, smalere sett i JSON. Dette settet omfatter ikke godkjenningsvedtaket eller regnskapskopien, fordi de ikke bygger på avtale eller samtykke alene |
| Innsigelse (art. 21) | Å protestere mot behandling som bygger på berettiget interesse – registeroppslaget, godkjenningsvurderingen og eventuell markedsføring | E-post til personvern@aprikosmedical.com. Mot direkte markedsføring er innsigelsen ubetinget: vi stanser uten noen avveining (art. 21 nr. 3) |
| Trekke samtykke (art. 7 nr. 3) | Å trekke et samtykke du har gitt, like enkelt som du ga det | Avmeldingslenken i hver markedsførings-e-post, eller e-post til oss. At du trekker samtykket, påvirker ikke lovligheten av det vi gjorde før |
Om sletting. Sletting betyr ikke det samme for alle opplysninger:
users/{uid}, lagrede lister og innkjøpslister, tilbud, anbud du eier, saker, filer, produktforslag, oppføringen på en eventuell markedsføringsliste og fritekstmerknadene. Du tas ut av andre virksomheters anbud. Sletting av kontoen skjer automatisk, uten noe manuelt godkjenningstrinn, når du bruker knappen.Avslår vi helt eller delvis, får du en begrunnelse, og vi opplyser om retten til å klage til Datatilsynet (art. 77) og til å gå til domstolene (art. 79).
Identitetskontroll. Er du innlogget, bruker vi innloggingen din som legitimasjon. Er du ikke innlogget, sender vi svaret bare til e-postadressen som er registrert på kontoen, eller vi bekrefter henvendelsen med en lenke til adressen du oppgir. Vi ber aldri om fødselsnummer, og vi ber som hovedregel ikke om kopi av legitimasjonsdokument (art. 12 nr. 6; personopplysningsloven § 12).
Sladding. Vi kan sladde tredjepersoners opplysninger i kopien du får (art. 15 nr. 4), og vi kan holde tilbake forretningshemmeligheter som innkjøpspriser, marginmodell og hvordan matchemotoren virker. Vi avslår ikke innsyn av den grunn – vi sladder bare det som må sladdes.
Mener du at vi behandler personopplysninger om deg i strid med regelverket, kan du klage til Datatilsynet (personvernforordningen art. 77). Vi setter pris på å få vite om det først, slik at vi kan rette opp.
Datatilsynet Postboks 458 Sentrum, 0105 Oslo Besøksadresse: Trelastgata 3, 0191 Oslo Telefon: 22 39 69 00 www.datatilsynet.no
Du er ikke lovpålagt å gi oss personopplysninger, men de er nødvendige for å inngå og gjennomføre avtalen med oss (personvernforordningen art. 13 nr. 2 bokstav e):
Organisasjonsnummer og forretningsadresse er nødvendige for at vi skal kunne verifisere virksomheten og oppfylle sporbarhetsplikten vår som produsent (MDR 2017/745 art. 25 nr. 2).
Registrerer du en klinikk eller veterinærklinikk som gir treff i det nasjonale foretaksregisteret, blir kontoen godkjent automatisk. Kontrollen gjøres på serveren vår, ikke i nettleseren din: funksjonen verifyCompany (functions/index.js) slår opp det lagrede organisasjonsnummeret i Brønnøysundregistrene, CVR eller YTJ, og åpner kontoen bare når e-postadressen din er bekreftet og foretaket er aktivt og registrert med næringskode for klinikk eller veterinærvirksomhet. Gir oppslaget ikke treff, går registreringen til manuell behandling hos oss, og du får svar innen 12 timer. Godkjenningen gir tilgang til prislisten og bestillingsverktøyene.
Vi har vurdert dette opp mot personvernforordningen art. 22 og art. 13 nr. 2 bokstav f, og konkludert med at det ikke er en automatisert avgjørelse etter art. 22:
public/assets/js/site.js).Du kan alltid be om manuell vurdering, om å få forklart resultatet og om å bestride det, ved å skrive til personvern@aprikosmedical.com. Denne muligheten er en forutsetning for vurderingen over, og den blir stående.
Fritekstfeltene på ordren og ordrelinjene er ment for praktiske opplysninger om leveransen – leveringstidspunkt, merking, adkomst.
Skriv aldri pasientnavn, fødselsnummer, diagnose, operasjonstidspunkt for en bestemt pasient eller andre helseopplysninger i disse feltene. Slike opplysninger er særlige kategorier av personopplysninger (personvernforordningen art. 9 nr. 1), og vi har ikke noe grunnlag i art. 9 nr. 2 for å behandle dem. De havner i ordredokumentet, i ordrebekreftelsen på e-post og i ordre-PDF-en.
Vi fjerner automatisk tekst som ser ut som et fødselsnummer eller et D-nummer før bestillingen lagres – mønsteret erstattes med «[fjernet]». Bestillingen går altså gjennom, men tallene lagres ikke. Vi gjennomgår og tømmer fritekstfeltene jevnlig, og de blankes uansett automatisk 12 måneder etter at bestillingen ble lagt inn. Finner vi pasientopplysninger, sletter vi dem, vurderer om det er et brudd på personopplysningssikkerheten, og gir beskjed til virksomheten som skrev dem.
Produktnavn som beskriver et inngrep – for eksempel et tonsillektomisett – sier noe om klinikkens fagområde og innkjøp, ikke om en pasient, og er derfor ikke helseopplysninger.
Produktklager er unntaket. Når et produkt kan ha skadet en pasient eller en bruker, spør klageskjemaet om pasientkategori, aldersgruppe, kjønn og utfall – aldri navn, fødselsnummer eller annen identifikasjon, og du må bekrefte at klagen ikke inneholder slike opplysninger før den sendes (functions/complaint.js). Det er helseopplysninger, og vi trenger dem fordi MDR krever at vi vurderer og melder alvorlige hendelser (vigilans). Grunnlaget er art. 9 nr. 2 bokstav i – allmennhetens interesse på folkehelseområdet, her kvalitet og sikkerhet for medisinsk utstyr – jf. MDR art. 87–89 og lov om medisinsk utstyr. Bare den som meldte saken, virksomheten deres og de av våre ansatte som har tilgangen til produktklager, ser opplysningene, og bildevedlegg lagres uten posisjons- og kameradata.
Vi bruker ingen informasjonskapsler til analyse eller markedsføring. Portalen lagrer enkelte opplysninger lokalt i nettleseren din fordi tjenesten ikke virker uten dem – handlekurven, kontoskjemaet, språkvalget, rollen du er logget inn med, en mellomlagret kopi av listene dine (selve listene ligger på kontoen, punkt 3.3a) og anbudsresultatene. For Aprikos-ansatte kommer enhetsbeviset og Microsoft-innloggingen i tillegg (punkt 3.9). Alle nøkler er listet opp med innhold, levetid og formål i den egne erklæringen erklaering-informasjonskapsler.md.
Fordi denne lagringen er strengt nødvendig for en tjeneste du selv har bedt om, krever den ikke samtykke (ePrivacy-direktivet art. 5 nr. 3, gjennomført i norsk ekomlovgivning). Det eneste som hviler på samtykke, er den pseudonyme bruksstatistikken i punkt 3.1 (og kampanjekoblingen som hører til den): den er avslått til du selv krysser av for den i personvernlinjen, og du kan trekke samtykket tilbake like enkelt på siden om lagring i nettleseren. Innfører vi noen gang analyse- eller annonseverktøy fra tredjeparter, innhenter vi samtykke før noe lagres eller leses.
Når du åpner nettstedet, slår vi opp hvilket land IP-adressen din hører til, slik at siden vises på norsk for besøkende i Norge og på engelsk ellers, og slik at distributørsiden viser riktig modell for USA eller for Europa og øvrige markeder. Oppslaget gjøres i vår egen serverfunksjon i EU (europe-west1) mot en lokal landsdatabase (GeoLite2 fra MaxMind, lisensiert under CC BY-SA 4.0). IP-adressen sendes ikke videre til noen tredjepart, og verken IP-adressen eller landet lagres hos oss; bare landkoden lagres i nettleseren din for fanen (aprikos-geo). Rettslig grunnlag er berettiget interesse i å vise nettstedet på et språk du forstår (art. 6 nr. 1 bokstav f). Du kan alltid bytte språk med NO/EN-knappen øverst.
Vi beskytter opplysningene med tilgangsstyring basert på innlogging og reglene i firestore.rules, slik at du bare ser dine egne opplysninger og dine egne ordre; med kryptert overføring og kryptert lagring; med hemmeligheter som lagres i nøkkelhvelv og ikke i koden; med godkjenning av hver ny enhet for all administratortilgang – en engangskode til den ansattes e-post, eller en engangskode fra en autentiseringsapp – og rettigheter per administrator; med logging av administrative avgjørelser; og med taushetsplikt for alle som har tilgang. Tiltakene gjennomgås minst årlig og ved endringer (personvernforordningen art. 32).
Oppdager vi et brudd på personopplysningssikkerheten, melder vi det til Datatilsynet innen 72 timer der det er meldepliktig, og varsler deg direkte dersom bruddet sannsynligvis medfører høy risiko for deg (art. 33 og art. 34).
Erklæringen har et versjonsnummer og en dato, og gjeldende versjon ligger alltid på personvernsiden i portalen. Ved mindre endringer oppdaterer vi versjonsnummeret og datoen. Ved endringer som har betydning for deg – nytt formål, ny mottaker, ny lagringstid – varsler vi deg på e-post til adressen som er registrert på kontoen din, minst 30 dager før endringen trer i kraft. Tidligere versjoner er tilgjengelige på forespørsel til personvern@aprikosmedical.com.
Versjon 1.5 (5. oktober 2026): HubSpot får også oppfølgingsoppgaver om kunder som våre ansatte oppretter – emne, frist og kobling til firmaet eller kontakten, uten helseopplysninger (punkt 6).
Versjon 1.4 (2. oktober 2026): AI-vurderinger av anbudslinjer huskes i 90 dager innenfor eget firma, slik at samme spørsmål ikke sendes til AI på nytt (punkt 3.7).
Tillegg 1. oktober 2026 (versjon 1.3): ansatte i administrasjonen – godkjente enheter med enhetsbevis i nettleseren, Microsoft-innloggingen og revisjonsspor med IP-adresse (punkt 2, 3.9, 4 og 13); grunnlaget for opplysninger om pasientskade i produktklager, art. 9 nr. 2 bokstav i (punkt 4 og 12); språkfilen for tekstgjenkjenning hentes fra vårt eget domene, og tjenestene nettleseren til ansatte kontakter er listet (punkt 6 og 7); administratortilgang sikres med godkjente enheter (punkt 14). Tillegget gjelder våre ansatte og utdyper grunnlaget for produktklager; det endrer ikke hva vi behandler om deg som kunde, og du blir derfor ikke bedt om å bekrefte erklæringen på nytt.
Versjon 1.3 (29. september 2026): Klarna og Vipps er fjernet – betaling skjer mot faktura eller forskudd (punkt 3.3, 5, 6 og 7); lagrede lister og innkjøpslister lagres på kontoen (punkt 3.3a, 4 og 8); Spør Aprikos svarer fra Aprikos' egne data uten AI-leverandør, og Anthropic brukes bare til AI-vurdering av anbudslinjer og i de ansattes interne assistent (punkt 3.7, 6 og 7); anbudsdokumenter lagres hos oss (punkt 3.4 og 5); kontoer slettes etter 24 måneder uten innlogging eller ordre, etter varsel (punkt 4); kundeunntaket er markedsføringsloven § 15 tredje ledd (punkt 3.6 og 4); selvbetjening og skjema er i drift, og begrensning kan settes i saksbehandlingen (punkt 8); samtykkebevis beholdes pseudonymisert etter sletting (punkt 4 og 8); programbibliotekene hentes fra vårt eget domene (punkt 6); totrinnsbekreftelse for administratorer (punkt 14).
Versjon 1.2 (28. september 2026): Apollo.io og Clay som kilder til forretningskontakter, salgsaktiviteter og signaler i kontrollsenteret, og HubSpot-speilet slettes etter 12 måneder uten synkronisering i stedet for 30 dager (punkt 3.6, 4, 6 og 7).
Versjon 1.1 (24. september 2026): statistikken beskrives som pseudonym og med alt den inneholder (punkt 3.1); eget samtykke for å koble kampanjen til kontoen; team-anbud, saker og partnerdokumenter lagres hos oss og i SharePoint (punkt 3.4); assistenten og AI-vurdering hos Anthropic (punkt 3.7); frakt med DHL (punkt 3.8); HubSpot-speilet (punkt 3.6); nye lagringstider (punkt 4); nye mottakere (punkt 6) og overføringer (punkt 7).
Salgsvilkår for nettbutikken — versjon 1.9, sist oppdatert 30. september 2026. Gjelder næringskjøp fra klinikker, veterinærklinikker, sykehus og forhandlere. Norsk tekst er den bindende.
Disse vilkårene gjelder alle kjøp fra Aprikos Medical AS, org.nr. 929 633 822, Lørenveien 73A, 0585 Oslo («Aprikos»), i nettbutikken og kundeportalen. Vi selger bare til virksomheter: klinikker, veterinærklinikker, sykehus og distributører. Forbrukerkjøpsloven og angrerettloven gjelder derfor ikke. Den som bestiller, bekrefter å ha fullmakt til å binde virksomheten.
For distributører gjelder distributøravtalen foran disse vilkårene der de to sier forskjellige ting.
Priser og bestilling krever godkjent konto. Klinikker og veterinærklinikker som finnes i et nasjonalt foretaksregister med riktig næringskode, godkjennes automatisk når e-postadressen er bekreftet. Andre godkjennes manuelt. Kunden har ansvaret for at opplysningene på kontoen er riktige, og for bestillinger som legges inn med kontoens innlogging.
Prisen som gjelder, er den serveren vår beregner når ordren registreres. Skrive- og prisfeil som kunden burde ha forstått, binder oss ikke.
En bestilling er et bindende tilbud fra kunden. Avtalen er inngått når Aprikos har sendt ordrebekreftelse på e-post. Er en vare utsolgt eller utgått, gir vi beskjed og tilbyr et alternativ eller stryker linjen.
Nettbutikken tar ikke imot kort-, Klarna- eller Vipps-betaling.
Aprikos har salgspant i varene til de er betalt i sin helhet (panteloven § 3-14).
Leveringstidene er veiledende. Risikoen går over på kunden når varen er overlevert til kunden i Norge, og for kunder utenfor Norge når varen er overlevert til fraktføreren.
Kunden skal kontrollere leveransen ved mottak. Synlige feil, mangler i antall og transportskader meldes innen 7 dager. Andre mangler meldes innen rimelig tid etter at de ble eller burde ha blitt oppdaget, og senest to år etter levering (kjøpsloven § 32). Reklamasjon sendes til order@aprikosmedical.com med ordrenummer, varekode og beskrivelse, helst med bilde. Aprikos kan velge mellom retting, omlevering og prisavslag.
Ubrukte lagervarer i uåpnet originalemballasje kan returneres innen 14 dager etter avtale med oss. Kunden betaler returfrakten, og vi kan trekke et håndteringsgebyr på 15 %. Varer produsert på bestilling (møbler, tilpassede sett, elektrokirurgi), sterile varer og varer med brutt emballasje tas ikke i retur.
Produktene er CE-merket medisinsk utstyr etter forordning (EU) 2017/745 (MDR) og er beregnet for helsepersonell og veterinærer. Kunden har ansvaret for riktig bruk, rengjøring, sterilisering og vedlikehold etter bruksanvisningen. Alvorlige hendelser og feil ved utstyret skal meldes til Aprikos uten ugrunnet opphold, slik at vi kan oppfylle meldeplikten vår. Distributører skal oppbevare sporbarhetsopplysninger slik MDR art. 25 krever.
Aprikos erstatter direkte tap som følge av mangel eller forsinkelse, begrenset til verdien av den ordren kravet gjelder. Indirekte tap, som driftsavbrudd, tapt fortjeneste og tap som følge av skade på annet enn varen, erstattes ikke, med mindre Aprikos har handlet grovt uaktsomt eller forsettlig. Begrensningene gjelder ikke ansvar som etter ufravikelig lov ikke kan begrenses, herunder produktansvar for personskade.
Ingen av partene er ansvarlige for forsinkelse eller mangel som skyldes forhold utenfor deres kontroll, som streik, krig, pandemitiltak, eksportrestriksjoner, svikt hos underleverandør eller transportør, eller svikt i offentlig infrastruktur.
Vi behandler personopplysninger slik det står i personvernerklæringen. Bekreftelsen av disse vilkårene lagres med tekst, versjon og tidspunkt.
Vilkårene som gjaldt da ordren ble bekreftet, gjelder for den ordren. Nye versjoner får nytt versjonsnummer. Avtalen er underlagt norsk rett. Tvister som ikke løses i minnelighet, avgjøres av Oslo tingrett.
These terms apply to every purchase from Aprikos Medical AS, company no. 929 633 822, Lørenveien 73A, 0585 Oslo, Norway ("Aprikos"), in the web shop and customer portal. We sell to businesses only: clinics, veterinary clinics, hospitals and distributors. Consumer sales law and withdrawal rights therefore do not apply. The person placing an order confirms that they are authorised to bind the business.
For distributors, the distributor agreement prevails where it differs from these terms.
Prices and ordering require an approved account. Clinics and veterinary clinics found in a national company register with a matching activity code are approved automatically once the e-mail address is confirmed. Others are approved by hand. The customer is responsible for the account details being correct, and for orders placed with the account's login.
The price that applies is the one our server calculates when the order is registered. Obvious typing and pricing errors do not bind us.
An order is a binding offer from the customer. The contract is concluded when Aprikos has sent an order confirmation by e-mail. If an item is sold out or discontinued, we tell you and offer an alternative or remove the line.
The web shop does not accept card, Klarna or Vipps payments.
Aprikos retains a seller's lien on the goods until they are paid in full (Norwegian Liens Act section 3-14).
Delivery times are indicative. Risk passes to the customer when the goods are handed over in Norway, and for customers outside Norway when the goods are handed over to the carrier.
The customer must inspect the delivery on receipt. Visible defects, shortages and transport damage must be reported within 7 days. Other defects must be reported within a reasonable time after they were or should have been discovered, and no later than two years after delivery (Norwegian Sale of Goods Act section 32). Send complaints to order@aprikosmedical.com with order number, item code and a description, preferably with a photo. Aprikos may choose between repair, replacement and a price reduction.
Unused stock items in unopened original packaging may be returned within 14 days by agreement with us. The customer pays the return freight, and we may deduct a 15 % handling fee. Items made to order (furniture, customised sets, electrosurgery), sterile items and items with broken packaging are not accepted in return.
The products are CE-marked medical devices under Regulation (EU) 2017/745 (MDR) and are intended for healthcare professionals and veterinarians. The customer is responsible for correct use, cleaning, sterilisation and maintenance according to the instructions for use. Serious incidents and device faults must be reported to Aprikos without undue delay so that we can meet our reporting duty. Distributors must keep traceability records as required by MDR art. 25.
Aprikos compensates direct loss caused by a defect or delay, limited to the value of the order the claim concerns. Indirect loss, such as business interruption, lost profit and loss from damage to anything other than the goods, is not compensated unless Aprikos has acted with gross negligence or intent. The limitations do not apply to liability that cannot be limited under mandatory law, including product liability for personal injury.
Neither party is liable for delay or defect caused by circumstances beyond their control, such as strikes, war, pandemic measures, export restrictions, failure of a sub-supplier or carrier, or failure of public infrastructure.
We process personal data as described in the privacy notice. Your acceptance of these terms is stored with its wording, version and time.
The terms in force when the order was confirmed apply to that order. New versions receive a new version number. The contract is governed by Norwegian law. Disputes that are not settled amicably are decided by Oslo District Court.
Hva portalen lagrer lokalt hos deg, hvorfor, og hvordan du tømmer det. Vi bruker ingen reklameinformasjonskapsler, og bruksstatistikk bare med ditt samtykke.
Pseudonym førsteparts bruksstatistikk (uten navn, e-post eller IP-adresse) samles bare inn hvis du har tillatt det. Du kan slå det av eller på her – pseudonymous first-party usage statistics (no name, e-mail or IP address) are collected only with your permission; change it here:
Aprikos Medical AS setter ingen informasjonskapsler (cookies) til markedsføring og ingen fra tredjeparter, og pseudonym bruksstatistikk samles bare inn av vår egen tjeneste hvis du selv har tillatt det (punkt 1b). Vi bruker ingen sporingspiksler, ingen A/B-testverktøy og ingen annonsenettverk. Vi har heller ingen egne informasjonskapsler for innlogging – pålogging håndteres av Firebase Authentication, som lagrer sin egen økt i nettleserens lokale database.
Det vi bruker, er lagring i din egen nettleser: localStorage og sessionStorage. Disse dataene blir liggende på enheten din. De sendes ikke til oss, og vi kan ikke lese dem eller slette dem for deg.
Skriftsnittene på nettsidene hentes fra vårt eget domene (public/assets/css/fonts.css og public/assets/fonts/). Henvisningene til fonts.googleapis.com er fjernet både fra public/index.html og fra Content-Security-Policy i firebase.json. Ingen IP-adresse går til Google Fonts.
Hvis du krysser av for «Tillat pseudonym bruksstatistikk» i personvernlinjen, sender nettleseren små pakker med hendelser til vår egen Cloud Function (track): hvilke sider som vises, hvilke knapper og lenker som klikkes, søkeord, hvor langt ned det scrolles, tid per side, og om et automatisk hjelpeforslag ble vist eller klikket. Sammen med dette sendes språk, land (fra tidligere landoppslag), skjermbredde og henvisende domene, kampanjemerkene i adressen du kom inn på (utm_source, utm_medium, utm_campaign), type enhet, nettleser og operativsystem, lastetiden for den første siden, teksten i eventuelle JavaScript-feil, og omtrent hvor på siden et klikk landet (et rutenett på 20 × 40 felt – aldri pikselposisjon eller skjerminnhold). Stegene i ett besøk lagres som et pseudonymt forløp i 90 dager. Det lagres ingen bruker-ID, e-postadresse eller IP-adresse; sesjons-ID-en er et tilfeldig tall i sessionStorage som forsvinner når fanen lukkes. Søkeord som inneholder e-postadresser eller lange tall fjernes før de sendes. Hendelsene summeres per dag og slettes etter 13 måneder (sesjonssammendrag etter 90 dager). Ingen tredjeparter mottar noe. Valget lagres i localStorage (aprikos-statistikk) og kan endres øverst på denne siden. Rettslig grunnlag er samtykke (personvernforordningen art. 6 nr. 1 bokstav a), og samtykket kan trekkes tilbake når som helst.
Lagring på og lesing fra brukerens terminalutstyr krever normalt samtykke (ePrivacy-direktivet art. 5 nr. 3, gjennomført i norsk ekomlovgivning). Unntaket gjelder lagring som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om.
Alle nøklene i punkt 3 som er merket strengt nødvendige, faller inn under dette unntaket: uten dem tømmes handlekurven ved hver sideoppdatering, kontoskjemaet må fylles ut på nytt for hver bestilling, språkvalget og rollen forsvinner, og anbudsarbeidet går tapt. Vi trenger derfor ikke samtykke, men vi har informasjonsplikt – og det er denne erklæringen (personvernforordningen art. 13 nr. 1).
Bruksstatistikken i punkt 1b er ikke strengt nødvendig, og derfor spør vi. Den er avslått til du selv krysser av, ingenting lagres eller sendes før du har gjort det, og det er like enkelt å trekke samtykket tilbake som å gi det. Innfører vi noen gang analyse- eller annonseverktøy fra tredjeparter, blir denne løsningen erstattet av et fullt samtykkebanner før noe tas i bruk.
Utlogging tømmer nå alle aprikos-*-nøkler i localStorage og aprikos-role og aprikos-next i sessionStorage. For ansatte blir også enhetsbeviset ap-staff-device stående (punkt 3.3). Ellers er det eneste som blir stående aprikos-personvern-info, som inneholder versjonsnummeret på personvernerklæringen du bekreftet, tidspunktet og hvor bekreftelsen ble gitt. Den blir stående med vilje: du skal slippe å bekrefte det samme om igjen på hvert besøk. Endrer vi erklæringen, får den et nytt versjonsnummer, og linjen kommer fram én gang til. Det betyr mye på delte PC-er i en klinikk. Ett rydderarbeid pågår fortsatt (under innføring): kontoskjemanøklene aprikos-account-* skal ikke lenger opprettes ved sidelasting for besøkende som ikke har lagret noe.
| Nøkkel | Type | Hva den inneholder | Formål | Levetid | Strengt nødvendig |
|---|---|---|---|---|---|
aprikos-shop-basket | localStorage | Handlekurvens linjer: varenøkkel og antall (shop.js) | Å beholde handlekurven mellom sidevisninger og økter | Til du tømmer kurven, fullfører en bestilling eller sletter dataene | Ja |
aprikos-shop-wish | localStorage | Ønskelisten: varenøkler (shop.js) | Å huske varer du har merket | Til du sletter dem | Ja |
aprikos-shop-custom | localStorage | Egendefinerte settoppsett: hvilke instrumenter og antall du har endret i et sett (shop.js) | Å beholde konfigurasjonen din | Til du sletter den | Ja |
aprikos-shop-facc | localStorage | Valgt tilbehør til møbler (shop.js) | Å beholde konfigurasjonen din | Til du sletter den | Ja |
aprikos-shop-fsp | localStorage | Valgte reservedeler til møbler (shop.js) | Å beholde konfigurasjonen din | Til du sletter den | Ja |
aprikos-shop-fnote | localStorage | Fritekst du har skrevet om et møbel (ønsker og tilpasninger) (shop.js) | Å ta med ønsket ditt videre til bestillingen | Til du sletter den, eller til ordren er lagt inn | Ja |
aprikos-shop-recent | localStorage | De 10 sist viste produktene (shop.js) | Å vise «sist sett» i butikken | Til du sletter den; erstattes løpende av nyere visninger | Ja – funksjonell del av butikken, men ingen profilering og ingen data til oss |
aprikos-shop-lists | localStorage | Mellomlagret kopi av lagrede lister med fritekstnavn du selv har gitt dem, og linjene i listen (shop.js). Er du innlogget, ligger selve listene på kontoen din (shop_lists/{uid}, se personvernerklæringen punkt 3.3a) | Å kunne gjenbruke faste bestillinger | Til du sletter listen | Ja |
aprikos-account-clinic, aprikos-account-vet, aprikos-account-dist | localStorage | Kontoskjemaet: foretak, organisasjonsnummer, kontaktperson, stilling, e-post, telefon, leveringsadresse, postnummer, sted, fakturaadresse, faktura-e-post og fast referanse/PO (site.js, checkout.js, tender.js) | Å forhåndsutfylle bestillings- og tilbudsskjemaer | Til du sletter dem. Ingen utløpstid i dag | Ja |
aprikos-last-order | localStorage | Hele den sist innsendte bestillingen, inkludert kundeblokken, ordrelinjene, totalene og betalingsreferansen (checkout.js) | Å kunne vise bekreftelsessiden og lage ordre-PDF-en på nytt | Ingen utløpstid i dag; tidsstempling og automatisk sletting er under innføring | Ja |
aprikos-vipps-pending | localStorage | Vipps-referanse fra en tidligere versjon av kassen. Vipps er ikke lenger en betalingsmåte i butikken, så nøkkelen skal ikke opprettes | – | Slettes ved utlogging og med knappen Tøm data på denne enheten | – |
aprikos-tenders | localStorage | De 20 siste anbudene: anbudsnavn, frist, filnavn, all uttrukket linjetekst, antall, spesifikasjoner, matchemerknader, dine egne notater, margin og valuta (tender.js) | Å kunne gjenoppta anbudsarbeidet etter en sideoppdatering | Ingen utløpstid i dag; tidsstempling og automatisk sletting er under innføring | Ja |
aprikos-lang | localStorage | Språkvalg (shop.js) | Å vise portalen på riktig språk | Til du endrer det | Ja |
aprikos-ent-2026-no, aprikos-vet-2026-no, aprikos-dist-2026 | localStorage | Utkast som sendes fra butikken til bestillingsverktøyet: valgte sett, antall og ekstralinjer (shop.js) | Å overføre handlekurven til bestillingsskjemaet | 7 dager – verktøyene forkaster eldre utkast | Ja |
aprikos-role | sessionStorage | Rollen du er logget inn med: clinic, vet eller dist (auth.js) | Å vise riktig meny og riktige priser. Den reelle tilgangskontrollen ligger i firestore.rules, ikke her | Slettes ved utlogging og når fanen lukkes | Ja |
aprikos-next | sessionStorage | Siden du forsøkte å åpne før innlogging (site.js) | Å sende deg til riktig side etter innlogging | Slettes straks etter innlogging og når fanen lukkes | Ja |
aprikos-ck-draft | sessionStorage | Utkastet til bestillingen i kassen: kunde- og leveringsfeltene, merknad og om vilkårene er godtatt (checkout.js) | Å beholde det du har skrevet hvis siden lastes på nytt før bestillingen sendes | Slettes når bestillingen er sendt, ved utlogging og når fanen lukkes | Ja |
aprikos-ck-est | sessionStorage | Et fingeravtrykk av handlekurven (produktnøkler og antall) og det omtrentlige fraktbeløpet nettbutikken svarte med (checkout.js) | Å slippe å spørre tjenesten shipEstimate på nytt for samme kurv. En funksjonell del av kassen: en kopi i høyst 10 minutter av en pris du selv ba om – ingen profilering, ingenting sendes videre | Brukes i høyst 10 minutter; slettes når bestillingen er sendt og når fanen lukkes | Ja |
aprikos-geo | sessionStorage | Landkoden vi fant ut fra IP-adressen din, og språket og markedet det gir (geo.js). IP-adressen lagres ikke | Å vise nettstedet på riktig språk og riktig distributørmodell uten å slå opp på nytt for hver side | Slettes når fanen lukkes | Ja |
aprikos-geo-choice | sessionStorage | Språk (NO/EN) eller marked du selv har valgt (geo.js) | Å huske valget ditt i fanen | Slettes når fanen lukkes | Ja |
aprikos-statistikk | localStorage | Om du har tillatt pseudonym bruksstatistikk (gdpr.js) | Å huske valget ditt, slik at du ikke blir spurt på nytt | Til du endrer det | Nei – lagres bare når du tar et valg |
aprikos-sid | sessionStorage | Tilfeldig sesjonsnummer for bruksstatistikken (insights.js). Lagres bare når du har tillatt statistikk | Å telle ett besøk som ett besøk | Slettes når fanen lukkes | Nei – bare med samtykke |
aprikos-src | sessionStorage | Kampanjen besøket kom fra (utm-merker og kanal, insights.js). Lagres bare når du har tillatt statistikk | Å telle hvilke kanaler som gir besøk | Slettes når fanen lukkes | Nei – bare med samtykke |
aprikos-attribusjon | localStorage | Om du har tillatt at kampanjen kobles til kontoen din (gdpr.js, mk-attr.js) | Å huske valget ditt | Til du endrer det | Nei – lagres bare når du tar et valg |
aprikos-internal | localStorage | Settes bare i administratorenes nettlesere (insights.js) | At våre egne besøk holdes utenfor statistikken | Til den fjernes | Ja – gjelder bare ansatte |
aprikos-nudged | sessionStorage | At et hjelpeforslag allerede er vist i denne fanen (insights.js) | Å ikke vise det samme hjelpeforslaget flere ganger | Slettes når fanen lukkes | Ja |
aprikos-shop-lastlist | localStorage | Hvilken av de lagrede listene du brukte sist (shop.js) | Å foreslå samme liste neste gang | Til du sletter den | Ja |
aprikos-tenders-shared | localStorage | ID-ene til delte team-anbud du er med i (tender-team.js) | Å finne igjen teamets anbud på denne enheten | Til du forlater anbudet eller sletter dataene | Ja |
aprikos-team-next | sessionStorage | Anbudet en invitasjonslenke peker til (tender-team.js) | Å åpne riktig anbud etter innlogging | Slettes når anbudet er åpnet, og når fanen lukkes | Ja |
aprikos-tender-kbd | localStorage | Om hurtigtastene i anbudsverktøyet er slått av (tender.js) | Å huske valget ditt | Til du endrer det | Ja |
tpf-quiet-* | sessionStorage | At du har lukket fokusvisningen for et anbud i denne fanen (tender.js) | Å ikke åpne den på nytt av seg selv | Slettes når fanen lukkes | Ja |
aprikos-bar-later | sessionStorage | At du har valgt «senere» i personvernlinjen (gdpr.js) | Å ikke vise linjen igjen i samme fane | Slettes når fanen lukkes | Ja |
Firebase Authentication sin egen lagring (IndexedDB, firebaseLocalStorageDb) | IndexedDB | Påloggingsbevis (ID-token og fornyelsestoken) for den innloggede kontoen | Å holde deg innlogget mellom sidevisninger | Slettes ved utlogging | Ja |
| Nøkkel | Type | Hva den inneholder | Formål | Levetid | Strengt nødvendig |
|---|---|---|---|---|---|
aprikos-ent-2026-<språk>, aprikos-vet-2026-<språk> | localStorage | Utkast til bestilling: sett, antall, ekstralinjer | Gjenoppretting av utkast | 7 dager | Ja |
aprikos-dist-2026, aprikos-sets-2026-dist | localStorage | Utkast til tilbud, inkludert fritekstblokken «Fra» med firma, adresse, kontaktperson, telefon og e-post | Gjenoppretting av utkast | 7 dager, henholdsvis 14 dager | Ja |
aprikos-account-dist | localStorage | Som i punkt 3.1 – tilbyderopplysningene i anbudsskjemaet | Forhåndsutfylling | Til du sletter den | Ja |
aprikos-lang | localStorage | Språkvalg i verktøyet | Språk | Til du endrer det | Ja |
aprikos-vipps-pending | localStorage | Vipps-referanse fra en tidligere versjon av verktøyet. Vipps brukes ikke lenger | – | Slettes ved utlogging og med Tøm data på denne enheten | – |
aprikos-consult, aprikos-dist-ref | localStorage | Kode for hvilken Aprikos-selger du kom via (?k=, ?ref=, ?d= i lenken) | Å knytte forespørselen til riktig selger | 30 dager | Nei. Dette er en sporingsidentifikator og er ikke nødvendig for tjenesten. Nøkkelen fjernes (under innføring); inntil da lagres den bare når du kommer inn via en selgerlenke |
Verktøyet private/tools/gold-label.html (aprikos-gold-by) er et internt merkeverktøy som kjøres lokalt hos oss. Det er ikke en del av det publiserte nettstedet, og besøkende møter det aldri.
Disse nøklene finnes bare i nettleseren til ansatte som logger inn på administrasjonssiden. Kunder og besøkende får dem aldri.
| Nøkkel | Type | Hva den inneholder | Formål | Levetid | Strengt nødvendig |
|---|---|---|---|---|---|
ap-staff-device | localStorage | Et tilfeldig enhetsbevis (32 tilfeldige byte). Hos oss lagres bare en kontrollverdi (SHA-256) av det (auth.js, functions/staff-device.js) | Å huske at denne enheten er godkjent, slik at den ansatte slipper engangskoden på e-post ved hver innlogging | Beviset gjelder 180 dager. Det blir med vilje liggende ved utlogging, og fjernes når enheten trekkes tilbake eller nettstedsdataene slettes | Ja – sikkerhetsfunksjon for ansatte |
aprikos-staff | sessionStorage | Et flagg om at innloggingssiden skal vises i ansattmodus (#staff), også etter en omdirigering til Microsoft (site.js, auth.js, admin.js) | Å vise ansattinnloggingen og komme tilbake til den når nettleseren blokkerer innloggingsvinduet | Slettes når fanen lukkes | Ja |
aprikos-admin-tab, aprikos-admin-grp-*, aprikos-admin-acct | sessionStorage | Hvilken side og hvilke menygrupper i administrasjonen som er åpne, og kontoen en lenke peker til (admin.js, site.js) | Å åpne administrasjonen der den ansatte var | Slettes når fanen lukkes | Ja |
msal.* (Microsofts innloggingsbibliotek MSAL) | sessionStorage | Mellomlagret Microsoft-innlogging: kontoinformasjon og tilgangsnøkler for e-post og kalender i Microsoft 365 (workspace.js) | Å vise den ansattes e-post og kalender i Workspace uten ny innlogging for hver side | Slettes når fanen lukkes | Ja – bare når den ansatte selv kobler til Microsoft 365 |
Portalen laster noen filer og gjør noen oppslag mot andre tjenester. De ser da IP-adressen din, nettleseren din og hvilken adresse du hentet fra. Ingen av dem får ordreinnholdet ditt, med de unntakene som står i tabellen.
| Tjeneste | Når | Hva de får vite |
|---|---|---|
| www.gstatic.com og Googles Firebase-tjenester (Google Ireland Ltd / Google LLC) | Ved innlogging og på alle portalsider | IP-adresse og nettleser, og – etter innlogging – kontoen og dataene dine, som vår databehandler |
| data.brreg.no (Brønnøysundregistrene) | Når du søker opp et norsk foretak under registrering | IP-adresse, nettleser og søkeordet ditt (site.js) |
| cvrapi.dk (privat dansk tjeneste) | Når du velger Danmark og søker opp foretak | IP-adresse, nettleser og søkeordet ditt (site.js) |
| avoindata.prh.fi (Patent- og registerstyrelsen i Finland) | Når du velger Finland og søker opp foretak | IP-adresse, nettleser og søkeordet ditt (site.js) |
| apis.google.com og prosjektets firebaseapp.com-adresse (Google) | Bare for ansatte: ved innlogging med Microsoft-konto | IP-adresse og nettleser, og innloggingen mot Microsoft |
| login.microsoftonline.com og graph.microsoft.com (Microsoft) | Bare for ansatte: når Workspace er koblet til Microsoft 365 | IP-adresse, nettleser og den ansattes Microsoft-konto; e-post og kalender hentes rett til nettleseren |
Programbibliotekene for PDF, Excel og tekstgjenkjenning, og språkfilen tekstgjenkjenningen bruker, hentes fra vårt eget domene (assets/vendor/), så cdnjs.cloudflare.com, cdn.jsdelivr.net og tessdata.projectnaptha.com kontaktes ikke lenger. Gjenkjenningen kjører lokalt i nettleseren, og filene dine lastes ikke opp. Klarna og Vipps er ikke en del av butikken, og nettleseren din kontakter ingen betalingsleverandør. Den gamle kodeveien mot api.emailjs.com er fjernet fra Content-Security-Policy i firebase.json og ligger bare igjen i upubliserte verktøyfiler under private/originals/.
aprikos-*-nøkler i både localStorage og sessionStorage på denne enheten.aprikos-*-nøkler i localStorage. Firebase Authentications egen lagring av påloggingsbeviset tømmes i samme operasjon.Sletter du dataene, mister du handlekurven, det utfylte kontoskjemaet og pågående anbudsarbeid på denne enheten. Listene du har lagret mens du var innlogget, ligger på kontoen og kommer tilbake neste gang du logger inn. Ordrer du allerede har sendt inn, blir ikke berørt – de ligger hos oss og behandles etter personvernerklæringen.
Se personvernerklaering.md for hva vi behandler, hvorfor, hvor lenge, hvem som mottar opplysningene og hvordan du bruker rettighetene dine. Spørsmål om denne erklæringen: personvern@aprikosmedical.com.
Aprikos Medical AS sets no advertising cookies and no third-party cookies, and pseudonymous usage statistics are collected by our own service only if you have allowed it (section 1b). We use no tracking pixels, no A/B testing tools and no ad networks. We do not even set our own sign-in cookie – authentication is handled by Firebase Authentication, which keeps its own session in the browser's local database.
What we do use is storage in your own browser: localStorage and sessionStorage. That data stays on your device. It is not sent to us, and we can neither read it nor delete it for you.
Web fonts are served from our own domain (public/assets/css/fonts.css and public/assets/fonts/). The references to fonts.googleapis.com have been removed from public/index.html and from the Content-Security-Policy in firebase.json. No IP address reaches Google Fonts.
If you tick “Allow pseudonymous usage statistics” in the privacy bar, your browser sends small batches of events to our own Cloud Function (track): which pages are shown, which buttons and links are clicked, search terms, scroll depth, time per page, and whether an automatic help suggestion was shown or clicked. Language, country (from the earlier country lookup), screen width and referring domain are sent along, as are the campaign tags in the address you arrived through (utm_source, utm_medium, utm_campaign), the type of device, browser and operating system, the load time of the first page, the text of any JavaScript error, and the approximate area of the page where a click landed (a 20 × 40 grid – never pixel positions or screen content). The steps of a visit are kept as a pseudonymous journey for 90 days. No user id, e-mail address or IP address is stored; the session id is a random number in sessionStorage that disappears when the tab closes. Search terms containing e-mail addresses or long numbers are removed before sending. Events are totalled per day and deleted after 13 months (session summaries after 90 days). No third party receives anything. The choice is stored in localStorage (aprikos-statistikk) and can be changed at the top of this page. The legal basis is consent (GDPR art. 6(1)(a)), which you can withdraw at any time.
Storing information on, or reading information from, a user's terminal equipment normally requires consent (ePrivacy Directive art. 5(3), as implemented in Norwegian electronic communications law). The exception is storage that is strictly necessary to provide a service the user has explicitly requested.
Every key in section 3 that is marked strictly necessary falls within that exception: without them the basket empties on every page load, the account form has to be typed again for every order, the language and role are lost, and tender work disappears. So consent is not required – but information is, and this declaration provides it (GDPR art. 13(1)).
The usage statistics in section 1b are not strictly necessary, which is why we ask. They are off until you tick the box, nothing is stored or sent before you do, and withdrawing the consent is as easy as giving it. If we ever introduce third-party analytics or advertising tools, this will be replaced by a full consent banner before anything is switched on.
Signing out now clears every aprikos-* key in localStorage as well as aprikos-role and aprikos-next in sessionStorage. For staff the device token ap-staff-device also stays (section 3.3). Otherwise the only key left behind is aprikos-personvern-info, which holds the version number of the privacy notice you confirmed, the time, and where the confirmation was given. It is kept on purpose: you should not have to confirm the same notice on every visit. If we change the notice it gets a new version number, and the line appears once more. That matters on a shared clinic PC. One clean-up is still in progress (being implemented): the aprikos-account-* form keys will no longer be created on page load for visitors who have saved nothing.
| Key | Type | What it holds | Purpose | Lifetime | Strictly necessary |
|---|---|---|---|---|---|
aprikos-shop-basket | localStorage | Basket lines: product key and quantity (shop.js) | Keeping the basket between page views and sessions | Until you empty the basket, complete an order or clear the data | Yes |
aprikos-shop-wish | localStorage | Wishlist: product keys (shop.js) | Remembering items you flagged | Until you delete them | Yes |
aprikos-shop-custom | localStorage | Custom set configurations: which instruments and quantities you changed (shop.js) | Keeping your configuration | Until you delete it | Yes |
aprikos-shop-facc | localStorage | Accessories chosen for furniture (shop.js) | Keeping your configuration | Until you delete it | Yes |
aprikos-shop-fsp | localStorage | Spare parts chosen for furniture (shop.js) | Keeping your configuration | Until you delete it | Yes |
aprikos-shop-fnote | localStorage | Free text you wrote about a furniture item (wishes and adaptations) (shop.js) | Carrying your wish through to the order | Until you delete it, or until the order is placed | Yes |
aprikos-shop-recent | localStorage | The 10 most recently viewed products (shop.js) | Showing "recently viewed" in the shop | Until you clear it; replaced as you view more | Yes – a functional part of the shop; no profiling, and nothing reaches us |
aprikos-shop-lists | localStorage | A cached copy of saved lists with the free-text name you gave them and their lines (shop.js). If you are signed in, the lists themselves are kept on your account (shop_lists/{uid}, see section 3.3a of the privacy notice) | Reusing standing orders | Until you delete the list | Yes |
aprikos-account-clinic, aprikos-account-vet, aprikos-account-dist | localStorage | The account form: company, registration number, contact person, job title, e-mail, phone, delivery address, postcode, town, invoice address, invoice e-mail and standing PO reference (site.js, checkout.js, tender.js) | Prefilling order and quotation forms | Until you clear it. No expiry today | Yes |
aprikos-last-order | localStorage | The whole order you last submitted, including the customer block, order lines, totals and payment reference (checkout.js) | Showing the confirmation page and regenerating the order PDF | No expiry today; timestamping and automatic deletion are being implemented | Yes |
aprikos-vipps-pending | localStorage | A Vipps reference from an earlier version of the checkout. Vipps is no longer a payment method in the shop, so the key should not be created | – | Removed on sign-out and by Clear data on this device | – |
aprikos-tenders | localStorage | The last 20 tenders: tender name, deadline, file names, all extracted line text, quantities, specifications, matching remarks, your own notes, margin and currency (tender.js) | Resuming tender work after a page reload | No expiry today; timestamping and automatic deletion are being implemented | Yes |
aprikos-lang | localStorage | Language preference (shop.js) | Showing the portal in the right language | Until you change it | Yes |
aprikos-ent-2026-no, aprikos-vet-2026-no, aprikos-dist-2026 | localStorage | The draft handed from the shop to the order tool: chosen sets, quantities and extra lines (shop.js) | Transferring the basket into the order form | 7 days – the tools discard older drafts | Yes |
aprikos-role | sessionStorage | The role you are signed in with: clinic, vet or dist (auth.js) | Showing the right menu and the right prices. The real access control is in firestore.rules, not here | Removed on sign-out and when the tab closes | Yes |
aprikos-next | sessionStorage | The page you tried to open before signing in (site.js) | Sending you to the right page after sign-in | Removed immediately after sign-in and when the tab closes | Yes |
aprikos-ck-draft | sessionStorage | The draft of your order in the checkout: the customer and delivery fields, the note and whether the terms were accepted (checkout.js) | Keeping what you typed if the page reloads before the order is sent | Removed when the order is placed, on sign-out and when the tab closes | Yes |
aprikos-ck-est | sessionStorage | A fingerprint of the basket (product keys and quantities) and the approximate freight amount the shop answered with (checkout.js) | Not asking the shipEstimate service again for the same basket. A functional part of the checkout: a copy for at most 10 minutes of a price you asked for – no profiling, nothing is passed on | Used for at most 10 minutes; removed when the order is placed and when the tab closes | Yes |
aprikos-geo | sessionStorage | The country code we derived from your IP address, and the language and market it gives (geo.js). The IP address itself is not stored | Showing the site in the right language and the right distributor model without a new lookup on every page | Removed when the tab closes | Yes |
aprikos-geo-choice | sessionStorage | A language (NO/EN) or market you chose yourself (geo.js) | Remembering your choice in the tab | Removed when the tab closes | Yes |
aprikos-statistikk | localStorage | Whether you have allowed pseudonymous usage statistics (gdpr.js) | Remembering your choice so you are not asked again | Until you change it | No – stored only when you make a choice |
aprikos-sid | sessionStorage | Random session number for the usage statistics (insights.js). Stored only when you have allowed statistics | Counting one visit as one visit | Removed when the tab closes | No – only with consent |
aprikos-src | sessionStorage | The campaign the visit came from (utm tags and channel, insights.js). Stored only when you have allowed statistics | Counting which channels bring visits | Removed when the tab closes | No – only with consent |
aprikos-attribusjon | localStorage | Whether you have allowed the campaign to be linked to your account (gdpr.js, mk-attr.js) | Remembering your choice | Until you change it | No – stored only when you make a choice |
aprikos-internal | localStorage | Set only in the administrators' browsers (insights.js) | Keeping our own visits out of the statistics | Until removed | Yes – staff only |
aprikos-nudged | sessionStorage | That a help suggestion has already been shown in this tab (insights.js) | Not showing the same help suggestion again | Removed when the tab closes | Yes |
aprikos-shop-lastlist | localStorage | Which of your saved lists you used last (shop.js) | Suggesting the same list next time | Until you clear it | Yes |
aprikos-tenders-shared | localStorage | The ids of shared team tenders you take part in (tender-team.js) | Finding the team's tenders again on this device | Until you leave the tender or clear the data | Yes |
aprikos-team-next | sessionStorage | The tender an invitation link points to (tender-team.js) | Opening the right tender after sign-in | Removed once the tender is open, and when the tab closes | Yes |
aprikos-tender-kbd | localStorage | Whether the tender tool's keyboard shortcuts are switched off (tender.js) | Remembering your choice | Until you change it | Yes |
tpf-quiet-* | sessionStorage | That you closed the focus view of a tender in this tab (tender.js) | Not reopening it by itself | Removed when the tab closes | Yes |
aprikos-bar-later | sessionStorage | That you chose "later" in the privacy bar (gdpr.js) | Not showing the bar again in the same tab | Removed when the tab closes | Yes |
Firebase Authentication's own storage (IndexedDB, firebaseLocalStorageDb) | IndexedDB | Sign-in credentials (ID token and refresh token) for the signed-in account | Keeping you signed in between page views | Cleared on sign-out | Yes |
| Key | Type | What it holds | Purpose | Lifetime | Strictly necessary |
|---|---|---|---|---|---|
aprikos-ent-2026-<lang>, aprikos-vet-2026-<lang> | localStorage | Order draft: sets, quantities, extra lines | Draft recovery | 7 days | Yes |
aprikos-dist-2026, aprikos-sets-2026-dist | localStorage | Quotation draft, including the free-text "From" block with company, address, contact person, phone and e-mail | Draft recovery | 7 and 14 days respectively | Yes |
aprikos-account-dist | localStorage | As in section 3.1 – the bidder details in the tender form | Prefilling | Until you clear it | Yes |
aprikos-lang | localStorage | Language preference in the tool | Language | Until you change it | Yes |
aprikos-vipps-pending | localStorage | A Vipps reference from an earlier version of the tool. Vipps is no longer used | – | Removed on sign-out and by Clear data on this device | – |
aprikos-consult, aprikos-dist-ref | localStorage | A code identifying which Aprikos salesperson you came through (?k=, ?ref=, ?d= in the link) | Attributing the enquiry to the right salesperson | 30 days | No. This is a tracking identifier and is not necessary for the service. The key is being removed (being implemented); until then it is stored only if you arrive through a salesperson link |
The tool private/tools/gold-label.html (aprikos-gold-by) is an internal labelling tool we run locally. It is not part of the published site and visitors never encounter it.
These keys exist only in the browsers of staff who sign in to the administration. Customers and visitors never get them.
| Key | Type | What it holds | Purpose | Lifetime | Strictly necessary |
|---|---|---|---|---|---|
ap-staff-device | localStorage | A random device token (32 random bytes). We store only a check value (SHA-256) of it (auth.js, functions/staff-device.js) | Remembering that this device is approved, so the employee does not need the e-mailed one-time code at every sign-in | The token is valid for 180 days. It deliberately survives sign-out, and is removed when the device is revoked or the site data is cleared | Yes – a security function for staff |
aprikos-staff | sessionStorage | A flag that the sign-in page should show the staff mode (#staff), also after a redirect to Microsoft (site.js, auth.js, admin.js) | Showing the staff sign-in, and returning to it when the browser blocks the sign-in window | Removed when the tab closes | Yes |
aprikos-admin-tab, aprikos-admin-grp-*, aprikos-admin-acct | sessionStorage | Which page and which menu groups of the administration are open, and the account a link points to (admin.js, site.js) | Reopening the administration where the employee left it | Removed when the tab closes | Yes |
msal.* (Microsoft's sign-in library MSAL) | sessionStorage | A cached Microsoft sign-in: account information and access tokens for Microsoft 365 mail and calendar (workspace.js) | Showing the employee's mail and calendar in Workspace without a new sign-in on every page | Removed when the tab closes | Yes – only when the employee connects Microsoft 365 |
The portal loads some files and performs some lookups against other services. Those services then see your IP address, your browser and which address you requested. None of them receives your order content, except as stated in the table.
| Service | When | What they learn |
|---|---|---|
| www.gstatic.com and Google's Firebase services (Google Ireland Ltd / Google LLC) | At sign-in and on every portal page | IP address and browser, and – once you are signed in – your account and your data, as our processor |
| data.brreg.no (Brønnøysundregistrene, Norway) | When you look up a Norwegian company during registration | IP address, browser and your search term (site.js) |
| cvrapi.dk (a private Danish service) | When you choose Denmark and look up a company | IP address, browser and your search term (site.js) |
| avoindata.prh.fi (Finnish Patent and Registration Office) | When you choose Finland and look up a company | IP address, browser and your search term (site.js) |
| apis.google.com and the project's firebaseapp.com address (Google) | Staff only: when signing in with a Microsoft account | IP address and browser, and the sign-in to Microsoft |
| login.microsoftonline.com and graph.microsoft.com (Microsoft) | Staff only: when Workspace is connected to Microsoft 365 | IP address, browser and the employee's Microsoft account; mail and calendar go straight to the browser |
The PDF, Excel and text-recognition libraries, and the language file text recognition uses, are served from our own domain (assets/vendor/), so cdnjs.cloudflare.com, cdn.jsdelivr.net and tessdata.projectnaptha.com are no longer contacted. Recognition runs locally in the browser, and your files are not uploaded. Klarna and Vipps are not part of the shop, and your browser contacts no payment provider. The old code path to api.emailjs.com has been removed from the Content-Security-Policy in firebase.json and survives only in unpublished tool files under private/originals/.
aprikos-* key from both localStorage and sessionStorage on this device.aprikos-* key in localStorage. Firebase Authentication's own store of the sign-in token is cleared in the same operation.Clearing the data loses your basket, the saved account form and any tender work in progress on this device. Lists you saved while signed in are kept on your account and come back the next time you sign in. Orders you have already submitted are unaffected – they are held by us and handled as described in the privacy notice.
See privacy-notice-en.md for what we process, why, for how long, who receives it and how to exercise your rights. Questions about this declaration: personvern@aprikosmedical.com.
Du kan be om innsyn, retting, sletting, begrensning og dataportabilitet, og protestere mot behandling. Vi svarer innen én måned.
Har du konto hos oss, er det raskest å bruke Min konto → Mine personopplysninger — der laster du ned opplysningene dine eller sletter kontoen selv, med en gang. Skjemaet under er for deg som ikke har konto, eller for henvendelser som gjelder noe annet.
Tell us who you are and what you need the documents for, and we send them by e-mail. We use the details only to answer your request — see the privacy notice.
Write to order@aprikosmedical.com — answered within 12 hours, weekdays.